| Kriptópolis alojado en |
| Zilos-Veloxia Network |
| Tu mejor defensa: |
| Bufet Almeida |
Vulnerabilidad XSS en Paypal cuestiona su nuevo modelo de seguridad
Enviado por admin el 17. Mayo 2008 - 10:26.
Pocas semanas después de que Paypal anunciara su nueva política antiphishing, que incluiría el veto de navegadores considerados "inseguros", el finlandés Harry Sintonen acaba de publicar una vulnerabilidad de Cross Site Scripting (XSS) que ejemplifica mediante esta pantalla de Explorer 7:
La página afectada muestra la URL de conexión segura a Paypal sobre el fondo verde que otorga su flamante certificado de validación ampliada (EV-SSL), lo que da perfecta idea de su gravedad...
Referencias:
- 'Secure' PayPal page is... you guessed it [The Register].
- PayPal XSS Vulnerability Undermines EV SSL Security [Netcraft].
Un pequeño apunte
Simplemente un apunte, ya que desgraciadamente, creo se puede incurrir, según la lectura que se haga de la noticia, y según el conocimiento de la persona que lea, en una mala interpretación.
La seguridad extendida en SSL (EV-SSL) no tiene absolutamente *nada* que ver con la existencia, o no, de una vulnerabilidad XSS.
La posibilidad de injectar código script en el lado del cliente, depende de una incorrecta validación de las rutinas de entrada/salida del aplicativo web. Es más, en ningún momento hay evidencia de que esta vulnerabilidad XSS en paypal sea explotable, es decir, que se pueda inyectar código script en una salida del aplicativo, no implica que pueda ser aprovechada por un atacante externo.
Simplemente eso, intentar que no se mezclen churras con merinas. EV-SSL es una cosa, los XSS son otra, y una ventana con "it is safe?" no es la evidencia más conveniente para determinar el verdadero impacto y alcance de una vulnerabilidad.
Un saludo.
Por supuesto
Nada tiene que ver... excepto que constituye otra prueba fehaciente de que la cadena siempre se rompe por el lado más débil y que las afirmaciones grandilocuentes sobre la fortaleza de un eslabón no garantizan en absoluto la fortaleza de la cadena.
O sea que no... pero "sí". Eso es lo que quería expresar con mi redacción, que espero que ahora quede aún más claro.
Curiosa aclaración
El último párrafo del link de paypal que mencionas dice:
(el "here" contiene un link al paper). Me parte de la risa la aclaración de "right click and select Save As", supuestamente dirigida a expertos en seguridad informática. Se pasan de condescendientes.
Opinar